Los investigadores de ciberseguridad han identificado una nueva técnica de evasión antivirus que consiste en incrustar un archivo malicioso de Microsoft Word dentro de un documento PDF. Esta metodología, denominada MalDoc en PDF, fue empleada durante un ataque registrado en julio de 2023.
Funcionamiento del método
Según los investigadores Yuma Masubuchi y Kota Kino, un archivo creado con MalDoc en PDF puede abrirse en Word, a pesar de tener la cabecera y estructura de un archivo PDF. Si el documento incluye una macro configurada, al ser abierto en Word se ejecutará un script VBS que realizará comportamientos maliciosos.
Estos archivos son clasificados como políglotas, ya que pueden interpretarse como documentos de varios tipos diferentes. En este caso, el archivo puede considerarse tanto PDF como Word (DOC).
Detalles técnicos del ataque
El método implica la incorporación de un archivo MHT creado en Word y con una macro adjunta después del objeto del documento PDF. El resultado final es un archivo PDF válido que también puede abrirse como documento de Word.
Dicho de otra manera: el documento PDF incorpora en sí mismo un documento de Word con una macro VBS diseñada para descargar e instalar un archivo de malware MSI si se abre como un archivo .DOC en Microsoft Office. No está claro de inmediato qué malware se distribuyó mediante esta técnica.
Protección y riesgos
Will Dormann, investigador de seguridad, señaló que cuando un documento se descarga de Internet o del correo electrónico, llevará una marca MotW. El usuario tendrá que hacer clic en «Habilitar edición» para salir de la Vista protegida. En ese momento sabrá que las macros están deshabilitadas.
Según Dormann, se observaron ataques reales que aprovechaban MalDoc en PDF hace poco más de un mes. Sin embargo, hay evidencia que sugiere que se estaban experimentando ya en mayo, como se muestra en el archivo «DummymhtmldocmacroDoc.doc».
Ataques relacionados
El desarrollo ocurre en medio de un aumento en las campañas de phishing que utilizan códigos QR para propagar URL maliciosas, una técnica llamada Qishing. Estas muestras están disfrazadas principalmente de notificaciones de autenticación multifactor (MFA), induciendo a sus víctimas a escanear el código QR con sus teléfonos móviles para obtener acceso.
Una de estas campañas dirigida a las credenciales de Microsoft de los usuarios ha experimentado un aumento de más del 2.400% desde mayo de 2023, según Cofense. Escanear un código QR en un dispositivo móvil coloca al usuario fuera de las protecciones del entorno empresarial.
Ataques de ingeniería social
Los ataques de ingeniería social se están volviendo más elaborados y sofisticados a medida que los actores de amenazas aprovechan tácticas de vishing y phishing para obtener acceso no autorizado a los sistemas de destino. En un caso destacado por Sophos, un actor combinó señuelos telefónicos y de correo electrónico para lanzar una compleja cadena de ataques contra un empleado de una organización con sede en Suiza.
El ataque de spam con imágenes falsas finalmente llevaba al destinatario a un sitio web falso mediante una cadena de redireccionamiento que, a su vez, lanzaba un ejecutable engañoso que se hacía pasar por un servicio de paquetes (Universe Parcel Service – UPS), que actuaba como conducto para entregar scripts de PowerShell adicionales para robar datos y señalar un servicio remoto oculto en TOR.
En otra campaña destacada por Cyble, se descubrió que un script de Visual Basic ejecutado a través de un archivo malicioso de Microsoft Excel empleaba código PowerShell para descargar una imagen JPG que contenía una carga útil .NET oculta codificada en Base64, como Agent Tesla, LimeRAT y Remcos RAT desde un servidor remoto.
Preocupaciones sobre el DNS
Los acontecimientos también llegan cuando han surgido preocupaciones de seguridad en torno a las colisiones de nombres en el Sistema de nombres de dominio (DNS), que podrían explotarse para filtrar datos confidenciales. Cisco Talos señaló que algunas colisiones no responden adecuadamente cuando se les presentan nombres que han caducado o que nunca existieron.